# VORLAGE — nicht mit echten Werten ins Repository einchecken.
# Anlegen z. B. per:
#   kubectl -n artista create secret generic artista-modelcamp-secrets \
#     --from-literal=DB_PASSWORD='…' \
#     --from-literal=DATABASE_URL='postgresql://artista:…@artista-modelcamp-postgres:5432/artista' \
#     --from-literal=APP_SECRET="$(openssl rand -base64 48)" \
#     --from-literal=BETTER_AUTH_SECRET="$(openssl rand -base64 48)" \
#     --from-literal=STRIPE_SECRET_KEY='sk_test_…' \
#     --from-literal=STRIPE_WEBHOOK_SECRET='whsec_…' \
#     --from-literal=SMTP_HOST='…' --from-literal=SMTP_USER='…' --from-literal=SMTP_PASSWORD='…'
# Besser noch: Sealed Secrets oder External Secrets Operator.
apiVersion: v1
kind: Secret
metadata:
  name: artista-modelcamp-secrets
  namespace: artista
type: Opaque
stringData:
  DB_PASSWORD: "<starkes-passwort>"
  # Passwort URL-kodiert einsetzen, falls Sonderzeichen enthalten sind.
  DATABASE_URL: "postgresql://artista:<starkes-passwort>@artista-modelcamp-postgres:5432/artista"
  APP_SECRET: "<mind-32-zeichen-zufall>"
  BETTER_AUTH_SECRET: "<anderer-mind-32-zeichen-zufall>"
  STRIPE_SECRET_KEY: "<sk_test_… oder sk_live_…>"
  STRIPE_WEBHOOK_SECRET: "<whsec_…>"
  SMTP_HOST: "<smtp.example.org>"
  SMTP_USER: "<benutzer>"
  SMTP_PASSWORD: "<passwort>"
---
# Zugang zur SMB-Freigabe fuer die PersistentVolumes
# (k8s/overlays/production/smb-volumes.yaml). Eigener, auf die Artista-
# Ordner beschraenkter NAS-Benutzer empfohlen.
#   kubectl -n artista create secret generic artista-modelcamp-smb \
#     --from-literal=username='…' --from-literal=password='…'
apiVersion: v1
kind: Secret
metadata:
  name: artista-modelcamp-smb
  namespace: artista
type: Opaque
stringData:
  username: "<nas-benutzer>"
  password: "<nas-passwort>"
  # Optional bei Domaenenkonten:
  # domain: "<domaene>"